Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-639

CVE-2026-16717

IBM API Connect'te yetkilendirme atlatma ile hassas bilgi ifşası açığı

IBM API Connect

Yüksek 7,7 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, API yönetim platformunda yetkisiz veri erişimine yol açabilecek bir zafiyettir ve yüksek öncelikli olarak değerlendirilmelidir. Sisteme giriş yapabilen bir kullanıcının hassas bilgilere erişebilmesi, müşteri güveni ve düzenleyici yükümlülükler açısından iş riski oluşturur. Satıcının önerdiği güncellemenin hemen uygulanması önerilir.

ÖzetTürkçe

IBM API Connect ürününün 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde, nesne düzeyinde yetkilendirmenin (broken object-level authorization, CWE-639) hatalı uygulanmasından kaynaklanan bir güvenlik açığı bulunmaktadır. Açık, sisteme kimliği doğrulanmış uzaktan bir saldırganın erişimi olduğu durumda istismar edilebilir. Etkilenen kurumlar API yönetimi için bu sürümleri kullanan sistem yöneticileri ve sunucu sağlayıcılarıdır.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir saldırgan, normalde erişmemesi gereken nesnelere ulaşarak hassas bilgileri elde edebilir. Saldırı, gizlilik ve bütünlük üzerinde yüksek etki yaratmaz ancak veri sızıntısına yol açabilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to obtain sensitive information due to broken object-level authorization.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

Ne yapmalı?

  1. IBM API Connect'i satıcının önerdiği 12.1.1.3 sürümüne yükseltin. Üretici
  2. Güncelleme öncesinde ve sonrasında API uç noktalarındaki nesne erişim izinlerini gözden geçirin ve gereksiz erişimleri kaldırın. Genel öneri

Ek önlemler

  • Kimliği doğrulanmış kullanıcıların erişim loglarını izleyin ve olağandışı nesne erişim desenlerini inceleyin. Genel öneri
  • En az yetki ilkesini uygulayarak kullanıcı ve servis hesaplarının rollerini sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.